쿠팡 개인정보 유출, 10만원 보상안 왜 거부됐나

쿠팡의 개인정보 유출 사태를 둘러싼 집단분쟁조정 절차가 새로운 국면을 맞았다. 한국소비자원 소비자분쟁조정위원회가 피해자 1인당 10만원을 지급하라는 조정안을 제시했으나, 쿠팡 측이 이를 거부하면서 수만 명에 달하는 피해자들의 구제 절차가 다시 원점으로 돌아갔다. 이번 사태는 국내 대형 플랫폼 기업의 개인정보 보호 책임과 피해 보상의 실효성에 대한 근본적인 물음을 다시 던지고 있다.

사건의 경위: 유출부터 조정 결렬까지

쿠팡의 개인정보 유출 사태는 대규모 이용자 데이터가 외부에 노출되면서 불거졌다. 피해자들은 이름, 전화번호, 주소, 구매 이력 등 민감한 개인정보가 유출됐다고 주장하며 집단적으로 피해 구제를 신청했다. 소비자분쟁조정위원회는 양측의 입장을 검토한 끝에 피해자 1인당 10만원의 손해배상 조정안을 도출했다. 그러나 쿠팡은 이 조정안을 수용하지 않았고, 조정 절차는 사실상 결렬됐다.

집단분쟁조정 제도는 소비자기본법에 근거해 다수의 피해자가 동일한 원인으로 피해를 입었을 때 일괄 구제를 도모하는 장치다. 조정안이 거부되면 피해자들은 법원 소송이라는 더 길고 험난한 길을 택해야 한다. 사실상 '시간과 비용의 벽'이 피해자 개개인 앞에 다시 세워지는 셈이다.

쿠팡의 거부 논리와 그 이면

쿠팡 측은 조정안 거부의 명시적 이유를 공개적으로 밝히지 않았지만, 업계에서는 몇 가지 배경을 주목한다. 첫째, 배상 총액의 문제다. 피해자 수가 수만 명에 달할 경우 1인당 10만원이라는 단위 금액은 작아 보이지만, 총액은 수십억 원에서 수백억 원대로 불어난다. 기업 입장에서는 선례가 될 집단 배상에 부담을 느낄 수밖에 없다.

둘째, 법적 귀책 사유의 다툼이다. 개인정보 유출 사고에서 기업이 '충분한 기술적·관리적 보호 조치'를 취했는지가 법적 책임의 핵심 쟁점이 된다. 개인정보보호법 제29조는 개인정보처리자에게 안전성 확보 조치 의무를 부과하고 있으나, 기업들은 흔히 "해킹 등 외부 공격은 불가항력"이라는 논리로 맞선다. 쿠팡 역시 유사한 방어 논리를 구사하고 있을 가능성이 크다.

셋째, 조정안 수용이 향후 민사소송에서 불리한 증거로 작용할 수 있다는 법적 계산이 깔려 있다는 분석도 있다. 개인정보 전문 변호사들은 "기업이 조정을 수용하면 과실을 사실상 인정하는 것으로 해석될 여지가 있어 소송 리스크가 커진다"고 설명한다.

10만원, 적정한 보상인가

피해자 단체와 시민사회는 10만원이라는 금액 자체도 턱없이 낮다고 비판한다. 개인정보는 한번 유출되면 스팸·보이스피싱·금융사기 등 2차 피해로 이어질 수 있으며, 그 피해 규모를 사전에 산정하기란 사실상 불가능하다.

국내 법원의 개인정보 유출 손해배상 판례를 보면 인정 금액의 편차가 크다. 대법원은 2012년 SK커뮤니케이션즈(싸이월드·네이트) 해킹 사건에서 1인당 20만원 배상을 인정한 바 있고, 2014년 카드사 3사 개인정보 유출 사건에서는 법원마다 0원에서 100만원 이상까지 천차만별의 판결이 나왔다. 이처럼 '개인정보 침해의 정신적 손해'를 금전으로 환산하는 기준이 명확하지 않다는 점이 피해자 구제의 근본적 장애물로 지목된다.

개인정보보호위원회 통계에 따르면 2023년 한 해 동안 신고된 개인정보 유출 건수는 1,600건을 넘어섰으며, 유출된 정보 규모는 지속적으로 증가 추세에 있다. 그러나 실제 배상으로 이어지는 사례는 극히 일부에 그쳐, 피해 구제의 사각지대가 광범위하게 존재한다는 지적이 반복되고 있다.

해외 사례와의 비교: 유럽·미국의 엄격한 잣대

해외 주요국의 대응은 한국과 사뭇 다르다. 유럽연합(EU)의 일반개인정보보호법(GDPR)은 개인정보 유출 기업에 전 세계 연간 매출의 최대 4%에 해당하는 과징금을 부과할 수 있다. 아마존은 2021년 GDPR 위반으로 약 8억 8,700만 달러(한화 약 1조 2,000억원)의 과징금을 부과받았으며, 메타(Meta)는 2023년 12억 달러(약 1조 6,000억원)의 제재를 받았다.

미국에서는 집단소송(Class Action) 제도가 발달해 있어 기업이 피해자 집단 전체에 대한 법적 책임을 한꺼번에 지게 되는 구조다. 2023년 T-모바일은 개인정보 유출 집단소송을 3억 5,000만 달러(약 4,700억원)에 합의 종결했다.

반면 한국은 과징금 상한이 위반 행위와 관련한 매출액의 3%로 규정돼 있고(개인정보보호법 제64조의2), 집단소송 제도 역시 증권 분야 외에는 도입되지 않아 피해자들이 개별적으로 소송을 제기해야 하는 구조적 한계가 있다. 전문가들은 이 같은 제도적 공백이 기업의 도덕적 해이를 부추기는 요인이라고 지적한다.

피해자들이 선택할 수 있는 길

조정이 결렬된 이후 피해자들에게 남은 선택지는 크게 두 가지다. 하나는 민사소송이고, 다른 하나는 개인정보보호위원회에 추가 제재를 촉구하는 민원 제기다. 그러나 개별 민사소송은 소송 비용과 시간 부담이 크고, 승소하더라도 받을 수 있는 배상액이 소송 비용을 밑도는 경우가 적지 않아 실질적 구제 수단이 되기 어렵다는 현실적 한계가 있다.

일부 피해자 단체는 변호사 단체와 연계해 공동소송 형태로 법적 대응을 준비 중인 것으로 알려졌다. 전문가들은 이 같은 공동소송이 피해자 개개인의 부담을 분산시키는 현실적 대안이 될 수 있다고 조언하면서도, 소송 기간이 수년에 걸칠 수 있다는 점을 우려한다.

구조적 문제와 제도 개선 과제

이번 사태는 단순히 쿠팡 한 기업만의 문제가 아니라, 국내 개인정보 보호 생태계 전반의 취약성을 드러낸다. 소비자단체와 학계에서는 다음과 같은 제도적 개선을 촉구하고 있다.

우선 집단소송제의 전면 도입이 시급하다는 목소리가 높다. 현행 집단분쟁조정 제도는 기업이 조정안을 거부하면 사실상 무력화된다는 구조적 결함을 안고 있다. 기업이 조정을 거부할 경우 소송 이행을 강제하거나, 거부 자체에 불이익을 부여하는 방향의 법 개정이 필요하다는 주장이 제기된다.

또한 징벌적 손해배상 제도의 실질적 강화도 과제다. 현행법상 개인정보 분야 법정 손해배상은 300만원 이하로 규정돼(개인정보보호법 제39조의2) 있어 대규모 유출 사고의 억지력으로는 미흡하다는 비판이 있다. 개인정보 보호 전문가들은 "기업이 보안 투자보다 배상 비용이 더 적다고 판단하는 한, 구조적 개선은 요원하다"고 경고한다.

개인정보보호위원회의 실질적 권한 강화도 논의 과제다. 위원회가 사후 제재에 그치지 않고 기업의 개인정보 처리 시스템을 사전에 점검하고 감독하는 역할을 확대해야 한다는 의견이 힘을 얻고 있다.

향후 전망: 플랫폼 신뢰의 기로

쿠팡은 국내 최대 이커머스 플랫폼으로 수천만 명의 이용자 데이터를 보유하고 있다. 이번 조정 거부가 장기적으로 기업 이미지와 소비자 신뢰에 어떤 영향을 미칠지는 두고 볼 일이지만, 글로벌 플랫폼 기업에 대한 소비자 경각심이 높아지는 추세에서 안이한 대응이 부메랑이 될 수 있다는 점은 분명하다.

법조계와 학계는 이번 사건이 국내 개인정보 피해 구제 제도의 패러다임 전환을 이끄는 계기가 될 수 있다고 전망한다. 소비자 주권 의식이 성장하고, 개인정보의 경제적 가치에 대한 인식이 확산되면서 '10만원 보상'을 거부한 기업을 상대로 한 사회적·법적 압박은 앞으로도 지속될 것으로 보인다. 결국 이 사태의 해법은 법정 다툼이 아니라, 기업의 진정성 있는 책임 인정과 제도적 안전망 구축이라는 두 축에서 동시에 찾아야 한다는 목소리가 점점 커지고 있다.